POROZUMIENIE W SPRAWIE POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH

Transkrypt

1 Załącznik nr 4 do wzoru umowy POROZUMIENIE W SPRAWIE POWIERZENIA PRZETWARZANIA DANYCH OSOBOWYCH Pomiędzy: Wyższą Szkołą Nauk Humanistycznych i Dziennikarstwa działającą na podstawie wpisu do rejestru uczelni niepublicznych i związków uczelni niepublicznych prowadzonego przez Ministra Nauki i Szkolnictwa Wyższego pod liczbą porządkową 90, NIP , z siedzibą przy ul. T. Kutrzeby 10, Poznań, reprezentowaną przez Joannę Schmidt, Kanclerz uczelni, zwaną dalej Zamawiającym oraz [dane rejestrowe i reprezentacja Wykonawcy] zwanym/ą dalej Wykonawcą 1 OŚWIADCZENIA WSTĘPNE 1. Strony niniejszym oświadczają, iż: a) niniejsze Porozumienie stanowi Załącznik nr 4 do zawartej przez Strony umowy z dnia.. nr.., zwanej dalej umową główną, b) przetwarzanie przez Wykonawcę danych osobowych w zakresie i w celu określonym w Porozumieniu jest niezbędne do realizacji Umowy głównej, w szczególności do należytego wykonania usług, c) Zamawiający jest administratorem danych w rozumieniu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych odnośnie danych osobowych osób fizycznych objętych następującymi zbiorami: dane kadrowe pracowników administracyjnych i dydaktycznych. d) niniejsze Porozumienie stanowi umowę o powierzenie przetwarzania danych osobowych, o której mowa w art. 31 ustawy z dnia 29 sierpnia 2007 r. o ochronie danych osobowych, zwanej dalej Ustawą i stosuje się również do wszelkich nowych zbiorów danych, które powstaną w okresie wykonywania umowy i których powierzenie Wykonawcy ich przetwarzania okaże się potrzebne na potrzeby realizacji umowy głównej. 2. Wykonawca niniejszym oświadcza, iż: a) znane są mu cele oraz zakres, w jakim Zamawiający zgodnie z przepisami prawa może przetwarzać dane osobowe, o których mowa w pkt 1 ppkt c) powyżej,

2 b) są mu znane wszelkie obowiązki nałożone przez przepisy obowiązującego prawa, na podmiot przetwarzający dane osobowe powierzone mu do przetwarzania przez Administratora Danych, a w szczególności treść art. 31, 36-39a Ustawy, c) wyraża zgodę na powierzenie mu danych osobowych wskazanych w pkt 1 c) powyżej, d) dysponuje odpowiednimi środkami, w tym należytymi zabezpieczeniami umożliwiającymi przetwarzanie danych osobowych zgodnie z przepisami ustawy z dnia 29 sierpnia 1997r o ochronie danych osobowych oraz Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, e) przygotował stosowną dokumentację wymaganą od podmiotu, któremu powierzono przetwarzanie danych osobowych, zgodnie z postanowieniami ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych oraz rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych. 2 POWIERZENIE PRZETWARZANIA DANYCH OSOBOWYCH 1. Na podstawie niniejszego Porozumienia, Zamawiający powierza Wykonawcy przetwarzanie danych osobowych osób fizycznych, objęte zbiorami danych, o których mowa w 1 pkt 1 lit. c) Porozumienia, w celach opisanych w pkt 2 poniżej oraz w zakresie opisanym w pkt 3 poniżej, w sposób zgodny z postanowieniami Porozumienia, umowy oraz przepisami prawa. 2. Wykonawca przetwarzał będzie powierzone mu dane osobowe wyłącznie w celu realizacji umowy głównej. Przetwarzanie przez Wykonawcę danych osobowych w innych celach niż wskazane powyżej, nie jest objęte Porozumieniem. 3. Wykonawca przetwarzał będzie powierzone mu dane osobowe wyłącznie w zakresie opisanym w 2 punkcie 2 Porozumienia. 4. Wykonawca może przetwarzać powierzone mu dane osobowe poprzez wykonywanie wszelkich czynności faktycznych niezbędnych w celu realizacji umowy głównej, w tym zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, archiwizowanie zgodnie z umową główną. W celu uniknięcia wątpliwości Strony przyjmują, iż Wykonawca nie jest uprawniony do usuwania lub anonimizacji danych osobowych, chyba, że obowiązek taki wynika z umowy głównej, uzgodnień Stron lub decyzji Zamawiającego. 5. Wykonawca przetwarzać będzie powierzone mu dane osobowe w postaci elektronicznej przy wykorzystaniu Systemu Aplikacyjnego oraz własnej infrastruktury sprzętowej i narzędziowej. 6. Strony postanawiają, iż dane osobowe powierzane będą Wykonawcy poprzez udostępnienie przez

3 Zamawiającego na rzecz Wykonawcy: a) kopii dokumentów zawierających dane osobowe, b) zestawień danych zawierających informacje o danych osobowych, c) możliwości wglądu do dokumentów i systemów informatycznych zawierających dane osobowe, z zachowaniem postanowień niniejszego Porozumienia oraz umowy głównej. 7. Strony postanawiają, iż na podstawie Porozumienia, Wykonawca przetwarzał będzie dane osobowe wyłącznie na terytorium Polski, w następującej lokalizacji: w siedzibie Zamawiającego, oraz w następujących lokalizacjach:. 8. Wykonawca zobowiązany jest do nieprzetwarzania i niewykorzystywania danych osobowych, które zostały mu powierzone do przetwarzania przez Zamawiającego, w zakresie i celu innym niż wskazany w niniejszym paragrafie Porozumienia oraz do przestrzegania warunków przetwarzania danych osobowych wynikających z przepisów Ustawy, rozporządzeń wykonawczych do Ustawy oraz postanowień Umowy. 9. Wykonawca zobowiązany jest do wykonania Porozumienia z zachowaniem najwyższej staranności, wynikającej z profesjonalnego charakteru działalności Wykonawcy. 10. Wykonawca może powierzyć przetwarzanie danych osobowych innym podmiotom w celu wykonania niniejszego porozumienia wyłącznie po uzyskaniu odrębnej zgody Zamawiającego na powierzenie danemu podmiotowi przetwarzania danych osobowych, wyrażonej w formie pisemnej, pod rygorem nieważności. W przypadku wyrażania przez Zamawiającego zgody na dalsze powierzenie przetwarzania danych osobowych przez taką osobę, zastosowanie znajdą następujące zasady: a) Wykonawca zobowiązany jest do zapewnia, iż taka osoba trzecia przetwarzała będzie dane osobowe wyłącznie w celu i w zakresie opisanym w umowie zawartej z nią przez Wykonawcę, przy czym cel i zakres przetwarzania nie będzie szerszy niż wynikający z niniejszego Porozumienia, b) Wykonawca zapewni, iż umowa o powierzenie przetwarzania danych osobowych zostanie zawarta przez Wykonawcę z taką osobą trzecią w formie pisemnej, c) Wykonawca zapewni, iż taka osoba trzecia nie będzie decydować o celach i środkach przetwarzania danych osobowych, d) Wykonawca zapewni, iż taka osoba trzecia nie będzie posiadać jakichkolwiek kopii dokumentów zawierających dane osobowe, w tym formularzy, baz danych zapisanych w postaci dokumentów papierowych lub elektronicznych, a w szczególności w poczcie elektronicznej, na dyskach komputerowych i arkuszach kalkulacyjnych innych niż wynikających z realizacji niniejszego Porozumienia, e) Wykonawca zobowiązany będzie do nadzorowania takiej osoby trzeciej w zakresie ochrony danych osobowych, f) Wykonawca zobowiązany jest do zapewnienia, iż na każde żądanie Zamawiającego skierowane

4 do Wykonawcy lub bezpośrednio do takiej osoby trzeciej, taka osoba trzecia zaprzestanie przetwarzania danych osobowych i według wyboru Zamawiającego zwróci je Zamawiającemu lub usunie. 3 ZASADY PRZETWARZANIA DANYCH OSOBOWYCH 1. Przy przetwarzaniu danych osobowych Wykonawca zobowiązany jest do przestrzegania przepisów prawa, w tym Ustawy oraz aktów wykonawczych do Ustawy, w szczególności Rozporządzenia MSWiA z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 Nr 100, poz.1024) oraz postanowień Umowy. W szczególności Wykonawca zobowiązany jest: a) zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem Ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem; b) prowadzić dokumentację opisującą sposób przetwarzania danych osobowych oraz środki, o których mowa w ppkt 1) powyżej; c) wyznaczyć administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ppkt 1) powyżej; d) dopuścić do przetwarzania danych wyłącznie osoby posiadające upoważnienie do przetwarzania danych osobowych; e) zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały wprowadzone do systemu przetwarzania danych oraz komu są przekazywane. 2. Wykonawca zobowiązany jest do prowadzenia i udostępnienia Zamawiającemu ewidencji osób upoważnionych do przetwarzania danych, które zostały mu powierzone do przetwarzania zgodnie z postanowieniami Ustawy i rozporządzeń wykonawczych. 3. Wykonawca, bez odrębnego wezwania ze strony Zamawiającego, zobowiązany jest niezwłocznie przedstawić aktualną ewidencję osób upoważnionych do przetwarzania powierzonych danych osobowych po każdej zmianie. Wykonawca zobowiązany jest na każde żądanie Zamawiającego do pozbawienia danego członka Personelu lub osoby trzeciej wskazanej w 2 pkt 10 Porozumienia uprawnień do przetwarzania danych osobowych powierzonych na mocy Porozumienia. 4. Wykonawca zobowiązany jest do zapewnienia, aby osoby upoważnione do przetwarzania danych osobowych zobowiązały się zachować w tajemnicy przetwarzane dane osobowe oraz sposoby ich zabezpieczenia. 5. Wykonawca zobowiązany jest do zabezpieczenia danych osobowych zgodnie z wymaganiami wynikającymi Umowy, w tym Polityki Bezpieczeństwa Zamawiającego. Strony postanawiają, iż

5 niezależnie od zobowiązań wynikających z Umowy, Wykonawca będzie wypełniać zobowiązania wynikające z obowiązku zastosowania środków bezpieczeństwa na poziomie WYSOKI zgodnie z Załącznikiem do rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. Nr 100, poz. 1024). W celu uniknięcia wątpliwości, Strony przyjmują, iż w przypadku, gdy z Umowy wynikał będzie obowiązek zabezpieczenia informacji, w szerszym zakresie niż przewidziany w powyżej wskazanym rozporządzeniu, Wykonawca zobowiązany będzie do realizacji tego rodzaju obowiązków, przy jednoczesnym zapewnieniu zasad bezpieczeństwa danych osobowych wynikającego z przepisów prawa. 6. Wykonawca zapewni przetwarzanie danych osobowych przy zastosowaniu Środków bezpieczeństwa na poziomie WYSOKI. 7. W przypadku dalszego powierzenia przez Wykonawcę przetwarzania danych osobowych, postanowienie powyższe znajduje zastosowanie również odnośnie osób wskazanych w 2 pkt 10 Porozumienia, przy czym za ich realizację przez osoby wskazane w 2 pkt 10 odpowiada również Wykonawca jak za własne działania lub zaniechania. 8. W przypadku, gdyby w toku realizacji Porozumienia, doszło do zmian wymagań prawnych związanych z przetwarzaniem danych osobowych, w szczególności wymagań dotyczących zabezpieczenia danych osobowych, Wykonawca zobowiązany jest własnym kosztem i staraniem do zapewnienia przetwarzania danych osobowych, w tym ich zabezpieczenia w sposób zgodny z przepisami prawa polskiego. 4 ADMINISTRATOR BEZPIECZEŃSTWA INFORMACJI 1. Zamawiający oświadcza, że funkcję Administratora Bezpieczeństwa Informacji (ABI) pełni u Zamawiającego następująca osoba: a) Imię Nazwisko: b) Telefon:, telefon komórkowy:. c) Adres Funkcję nadzoru Administracyjnego Systemu Informatycznego a) Imię Nazwisko:. b) Telefon: c) Adres 3. Wykonawca oświadcza, że funkcję Administratora Bezpieczeństwa Informacji (ABI) pełni w jego przedsiębiorstwie następująca osoba: a) Imię Nazwisko:.. b) Telefon:.., telefon komórkowy:.. c) Adres ..

6 4. Każda ze Stron uprawniona jest do zmiany wyznaczonego przez siebie ABI oraz danych kontaktowych ABI, informując jednocześnie drugą Stronę Umowy o dokonanych zmianach. Zamawiający uprawniony jest do zmiany osoby pełniącej funkcję Administratora Systemu Informatycznego. Powyższe zmiany, nie stanowią zmiany Porozumienia i nie wymagają dla swej skuteczności aneksu do Porozumienia. 5. W przypadku dalszego powierzenia przez Wykonawcę przetwarzania danych osobowych, Wykonawca zobowiązany jest do poinformowania Zamawiającego o osobie pełniącej funkcję Administratora Bezpieczeństwa Informacji u innych podmiotów przetwarzających dane osobowe. 5 WYNAGRODZENIE 1. Mając na uwadze, iż Porozumienie zawarte zostało w związku z realizacją przez Strony umowy głównej z dnia.. nr, Strony potwierdzają, iż kalkulacja wynagrodzenia należnego Wykonawcy na podstawie umowy głównej została dokonana przy uwzględnieniu zobowiązań Wykonawcy wynikających z niniejszego Porozumienia. Wynagrodzenie z tytułu realizacji niniejszego Porozumienia zostało włączone do wynagrodzenia należnego Wykonawcy z tytułu realizacji umowy głównej. 2. Wykonawca nie jest uprawniony do żądania od Zamawiającego jakiegokolwiek dodatkowego wynagrodzenia z tytułu realizacji Porozumienia ani też zwrotu jakichkolwiek kosztów związanych z realizacją praw lub zobowiązań wynikających z Porozumienia. 6 ODPOWIEDZIALNOŚĆ Strony postanawiają, iż w przypadku, gdyby jakakolwiek osoba trzecia, a w szczególności osoba fizyczna, której dane osobowe zostały powierzone do przetwarzania Wykonawcy na podstawie Porozumienia, wystąpiła wobec Zamawiającego z jakimikolwiek roszczeniami związanymi z przetwarzaniem danych osobowych przez Wykonawcę, Zamawiający poinformuje Wykonawcę o takich roszczeniach, a Wykonawca podejmie wszelkie działania mające na celu zażegnanie sporu i poniesie wszelkie koszty z tym związane. W szczególności, w przypadku wytoczenia przeciwko Zamawiającemu powództwa z tytułu naruszenia przepisów o ochronie danych osobowych lub naruszenia jakichkolwiek praw podmiotów trzecich, w szczególności dóbr osobistych osób fizycznych, Wykonawca wstąpi do postępowania w charakterze strony pozwanej, a w razie braku takiej możliwości zgłosi interwencję uboczną po stronie pozwanej oraz pokryje wszelkie koszty i odszkodowania związane z roszczeniem osoby trzeciej, w tym koszty obsługi prawnej oraz koszty ewentualnych odszkodowań (zadośćuczynienia) poniesione przez Zamawiającego. 7 OKRES OBOWIĄZYWANIA POROZUMIENIA 1. Porozumienie stanowi załącznik do umowy głównej i zawarte zostało na okres obowiązywania

7 umowy głównej z zastrzeżeniem pkt 3 poniżej. 2. W przypadku rozwiązania umowy głównej przez którąkolwiek ze Stron (niezależnie od sposobu rozwiązania i podstawy prawnej) Zamawiający podejmie decyzję o procedurze, formie, terminie itp. zwrotu danych osobowych Zamawiającego. Wykonawca zobowiązuje się do zwrotu i usunięcia wszelkich danych osobowych objętych Porozumieniem i zaprzestanie ich przetwarzania przed wygaśnięciem umowy głównej. 3. W przypadku jednostronnego rozwiązania umowy głównej przez którąkolwiek ze Stron ze skutkiem natychmiastowym, niniejsze Porozumienie obowiązywać będzie jeszcze przez 7 Dni Roboczych po wygaśnięciu umowy głównej. W powyższym terminie Zamawiający, podejmie decyzję o procedurze, formie, terminie itp. zwrotu danych osobowych Zamawiającemu. Strony zobowiązane są przy tym do zapewnienia, iż Wykonawca zwróci Zamawiającemu wszelkie dane osobowe objęte Porozumieniem i zaprzestanie przetwarzania przedmiotowych danych osobowych przed wygaśnięciem Porozumienia. 4. Niezależnie od powyższych postanowień, Wykonawca zobowiązany jest na każde żądanie Zamawiającego do natychmiastowego zwrotu lub usunięcia (wedle wyboru Zamawiającego) określonych danych osobowych powierzonych mu do przetwarzania na podstawie Porozumienia. 5. W żadnym wypadku Wykonawca nie może żądać jakiegokolwiek dodatkowego wynagrodzenia z tytułu zwrotu lub usunięcia danych osobowych, dokonanego na żądanie Zamawiającego. 6. Przez usunięcie danych osobowych, o którym mowa w niniejszym paragrafie, rozumieć należy zniszczenie tych danych osobowych lub taką ich modyfikację, która trwale nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą. 7. Każdorazowo zwrot lub/i usunięcie danych osobowych potwierdzone zostanie protokołem podpisanym przez należycie umocowanych przedstawicieli Stron. 8 POSTANOWIENIA KOŃCOWE 1. Wszelkie zmiany oraz rozwiązanie niniejszego Porozumienia wymagają formy pisemnej pod rygorem nieważności. 2. W kwestiach związanych z wyborem prawa właściwego, wyborem sądu, ilością egzemplarzy, doręczeniami związanymi z Porozumieniem, zastosowanie znajdują postanowienia Umowy. Załącznik: 1. Wykaz osób po stronie Wykonawcy, które zostaną upoważnione do przetwarzania danych osobowych przez Wykonawcę. imię i nazwisko Wykonawca: imię i nazwisko

8 stanowisko stanowisko